霍尼SM系统在己内酰胺生产线应用与维护

宋刘鹏1，田俊涛1，赵 勇2，雷县平1，王阳阳3

（1.福建申远新材料责任有限公司，福州 350500；2.北京荣格瑞普自动化技术有限公司，北京 100000；3.新疆国泰新华化工责任有限公司，新疆昌吉回民自治州 831100）

0 引言

目前市场上用的SIS系统厂家有很多，例如黑马、康吉森、浙大、和利时、霍尼韦尔等，其各有优缺点，他们的共性就是基础逻辑块都一样，界面简单易操作。SIS是安全仪表系统的简称，是为了实现一个或多个安全仪表功能的控制系统，它包含安全仪表功能的整个回路，不仅仅是控制系统方面还有现场仪表等。目前，SIS已广泛用于石油化工。其总原则是：防止和降低石油化工工厂或装置的过程风险，保证人身和财产安全，保护环境。本文中的Safety Manager System仅仅涉及到SIS中的逻辑控制器和人机接口部分，不包含现场测量仪表及执行元件，也就是常说的SIS系统。据10来年的维护经验，发现SIS系统的发展也是越来越智能化，且硬件会更具安全性，向着任意元件皆可达到TUV SIL3级的安全等级发展，其软件逻辑编写更易于解读。

1 霍尼Safety Manager System

霍尼的SIS系统即Safety Manager System，满足GB /T50770-2013《石油化工安全仪表设计规范》中SIL3级别的要求，且其系统的重要组件单卡配置皆可达到TUV SIL3级的安全等级要求，在石化领域应用较广。

下面介绍Safety Manager System硬件的一些主要组成部件，CPU chassis：用于安装处理器的机架，包含CPU模块槽位、通讯卡槽位、5V电源模块槽位、BKM槽位。QPP：四重化冗余控制模块也就是常说的CPU，与QPP硬件对应的QMR，是四重化冗余技术，四选二的逻辑表决输出，只有SIS系统配置双QPP具备QMR的功能，每个QPP含有两个CPU芯片，每个QPP运行输出是两个CPU模块的二选一出来的结果，而QMR技术就是两个QPP内部的各自二选一结果输出与两个QPP自我诊断二选一结果相结合共同实现的。BKM模块：电池和钥匙开关卡，用于复位、断电保持。IO chassis：用于安装输入输出模块的机架，其IO chassis的优点主要有3点：①一个IO机架可包含多达18块IO模块，支持在线更换卡件；②不同类型IO卡件可以混装在一个 IO chassis；③一套SM系统中可以同时配置冗余机架和非冗余机架。FTA是集成装配的现场端子模块即端子板，是现场组件例如变送器、定位器、电磁阀等与用来安装输入输出模块机架通信的一个接口，一端用于接现场电缆，一边集成电缆去机架背面与对应的IO卡件通信。SIC是IO模块与FTA模块之间的连接电缆。24V供电导轨：bus bar for 24V power，24V电源母排。霍尼专用电源，例如PSU-UNI2450输出并入24V电源母排，机架和FTA供电可用专用电缆连接供电。

2 申远SIS概况及新项目SIS配置

福建申远新材料己内酰胺工厂，目前在产3条线共60万吨，SIS使用霍尼韦尔的Safety Manager系统，已稳定生产四五年，其主要装置包含环己酮肟、己内酰胺、硫铵（副产）。仪表点数3600点左右（仅SIS联锁点）。1套20万吨含原料及副产装置机柜间包含系统柜3个，3对冗余控制器对应1条生产线的3套装置，辅助柜4个，电源柜1个，网络柜2个（机柜间1个，中控室1个），继电器柜3个。

硬件配置说明：系统柜包含CPU及其框架配件、I/O卡件及其框架配件、系统24V电源、24V电源插轨、漏电保护器、网络浪涌保护器、交换机、232/485接线板、220V空开、背面接线端子及FTA端子板、风扇、温度报警器等。其中，系统柜第一块DI卡为电源、风扇、温度的报警点，其报警点为系统柜及MC柜的电源串联报警、风扇串联报警、温度报警串联点。辅助柜：主要有给现场测供24V的开关电源、各种信号安全栅、接线端子等；继电器柜：主要是电气信号的隔离继电器及接线端子；电源柜：SIS系统的交流供电宜采用双路不间断电源的供电方式，大型石油化工生产装置的SIS系统应采用双路独立的不间断电源。因此，本项目提供双路UPS 220V电源分配进入电源柜。网络柜：交换机及光纤盒子，机柜间与中央控制室各1套。

24V电源配置：型号为系统电源地为浮空，也就是电源负极对地量有DC8V电压，电源正极对地量有DC32V电压，而辅助柜内给现场测供电负极为接地，这样维护时很容易检查出系统电缆的问题，第一次SM系统送电时也必须要在系统电不漏地的情况下上电。故在SIS回路中一定要注意系统24V电源负极不能接地且不能与辅助柜内24V电源负极并联。SM系统柜内配置ELD漏地检测仪，可以快速方便查看漏地报警及检测出哪根电缆漏地。这样时时刻刻检测，无形中又保证了系统的安全性，及时发现隐患。

网络相关配置：左边CPU有4个通讯端口分别为COM1.1A、COM1.1B、COM1.1C、COM1.1D；右边CPU有4个通讯端口分别为COM2.1A、COM2.1B、COM2.1C、COM2.1D。其中，A端口为分配网址去交换机与工程师站通讯的端口；B端口为去网络浪涌保护器，用于通信安全保护；C端口为232/485接口与DCS通讯端口，GB/T 50770-2013规范中规定SIS系统与基本过程控制系统宜采用RS485串行通信接口。机柜间经交换机、光纤至中央控制室→交换机→SIS服务器，是一种星型拓扑网络结构，工程师站须配置多网卡，其中一网卡用于连接时钟同步GPS用于同步SIS网络时间，如图1系统网络架构。

图1 SM系统网络架构Fig.1 SM System network architecture

接地配置规则：现场电缆屏蔽层在机柜间柜子扎麻花辫用接地专用热缩管套好接入屏蔽地排。现场仪表与机柜内FTA之间均设计有本安隔离器件，这也间接地保护了信号线接地不会导致系统测漏地保护报警。机柜内严格按照规范接地要求，设置有电源地、保护地、信号屏蔽地。SIS控制系统第一次上电前，必须对机柜间及系统柜内相关设施要绝缘，阻值≤3Ω，系统安装调试阶段，必须严格按照要求接地线。

信号配置规则：AI（模拟量输入），皆配置为本安信号接入MTL系列安全栅，大部分点位接SIL级别为2的MTL5544D一入两出安全栅，一路接入DCS，一路进入SIS，个别点位接入SIL级别为2的MTL5541仅接入SIS。DI（开关量输入），现场仪表点位配置为本安信号接入SIL级别为2的MTL5511安全栅，现场信号为numer信号（世界上应用最广泛的本质安全的数字量输入和频率量输入的标准信号），电气泵运行故障信号为继电器隔离信号。DO（开关量输出），现场仪表信号为本安配置，接入MTL5525限流限压后接入电磁阀，电气泵联锁信号接入倍加福SIL级别为3，型号为KFDO-RSH-1的继电器。根据联锁的SIL级别的设计，部分SIL3级别联锁必须为冗余仪表测量，因为现场测量仪表一般为SIL1级别，故SIL3常规设计为现场测量仪表三选二或三选一，这样整个安全仪表功能回路才能达到SIL3级别。

维护情况说明：9套SIS加两套GDS（可燃有毒气体检测系统），5年间更换过BKM电池、漏地检测仪、安全栅若干，继电器若干，保险若干，新增过IO卡及FTA等。而就系统本身IO硬件而言，尚未发现故障，毕竟SM系统的单卡配置也是具备TUV SIL3级的安全等级认证，故障率还是很低的。

3 维护过程中的一些问题

3.1 电缆线阻低，卡件短路报警，造成泵成片跳车

某天晚上公司某条硫铵装置多台泵跳停，现场泵处于联锁状态，操作柱没有电无法就地起泵，远程指导值班人员检查，发现有回路故障，整块DO卡处于联锁故障位，因怕影响产量，故先采取检查现场回路后复位CPU操作，结果复位掉回路故障，泵起来之后，两个小时后泵又跳。随后立即赶去公司，查看故障代码，显示电流短路故障至整块DO卡处于联锁故障位，整个卡8个通道的泵都处于联锁状态。接着立即去现场检查回路，检查没有漏地报警，排除电缆破皮触地，查看电缆是24芯×2根×1.5平方，也排除电缆本身问题，测量故障点位端子两根通断不通以为无问题，据经验更换所报短路故障的点位的继电器，型号为倍加福的KFDO-RSH-1。因之前有过一批批次质量问题的前例，也抽取几个点位测量对地，电阻是在正常范围内。随即复位后，通知工艺启动泵并观察。2h后运行正常，随离开公司。然而第二天早上六点，同样的问题又出现，立即和现场仪表工程师赶往公司，推测只能是电缆问题，检查电缆。随即拆开电缆，测量对地正常，测量线阻0.8MΩ，虽大于电气绝缘标准的0.5 MΩ但是还是有点疑虑，并找了一个正常未发生故障的点位电缆对比测量，其结果大于20MΩ，挨个测量，此卡上共有4组电缆线阻偏低，随即更换备用电缆，挨个核对备用电缆，剥线、压线鼻子并临时标记电缆后接线。更换该DO卡上8个点位的电缆后，复位后通知工艺启动泵。至装置检修一直未出现故障，电机运行正常。

在正常运行一周后，计划检修时更换整根电缆，目前已更换完毕且运行正常。至此线阻低的问题暂告一段落，至于因为什么问题引起的线阻低，此处暂不赘述。总结该问题，造成装置再三跳泵的原因有以下两点：一是误判线路短路可根据漏地检测仪检测得出结果，当24芯电缆外皮未破皮绝缘良好时，检测不出漏地，且短路不是漏地，两者造成的结果是不一样的，不漏地不代表电缆就没有问题；二是犯经验主义错误，误判以为继电器有内部故障。

3.2 生产过程中，增加点位并增加逻辑

因是在开车过程中，最难的不是逻辑编写与下装，而是找备用电缆和接线。找电缆，就涉及到会误碰触到正在用的点位电缆从而造成联锁跳车，这就是为什么一般工厂不允许运行中动SIS系统，就算在提前准备好备用电缆的情况下，接线和柜内布线整线也会误碰触的。如果在工艺做好各种风险分析及应急方案的前提下，也就是风险可控的前提下作业，也是可以的，毕竟霍尼的Safety Manager System是支持在线修改下装的。而若提前修改程序下装后，接线要注意切断新增点位回路电源的前提下再接线，防止接地或者短接。例如，模拟量电缆接地会导致漏地报警，导致该测点逻辑程序处于联锁状态或故障状态，需要恢复接线后复位即可；而电机DO联锁信号的接线中，一定要注意避免接地或短接。若联锁逻辑使该DO点是通的，即带点状态，则接线短接会导致打火，接地会导致漏地报警。因此接线时，先看通道是否是导通状态，尤其是点位在隔离器件之前的接线。故而SIS系统方面的技改最好是生产安全状态下去执行，且要做好万全准备及预案。

3.3 日常维护中最常见的问题是漏地报警

拆接线中不可避免会触地，而这种导致漏地报警在恢复接线后，复位漏地报警器即可恢复，因为在这种作业前都会开相关作业票且操作员打旁路，是不会导致系统联锁的。而生产过程中难免会遇到一些漏地报警消除不掉，若知道具体时间且知道当时是什么作业或者是什么异常了，可针对性检查相关回路电压。若是时间长了，不知道什么原因，毫无头绪的漏地报警则首先是要缩小范围，不能盲目查找，可以咨询工艺最近哪个点有异常，或者直接通过霍尼官方手册中的指导配合漏地报警器说明来做，用电流钳形表挨个测量排查哪块有漏地。

日常维护中，首先是每天必须检查的系统诊断、通讯诊断、回路诊断以及逻辑程序中的系统点报警是否触发；其次是在工程师站看不到的系统部件的机柜间检查，包括辅助柜回路开关电源的检查，CPU显示屏的翻页观看有无fault，机柜风扇运转情况及机柜间空调运转情况等；再者是一些定期维护项目，包括定期程序备份，定期系统及开关电源电压测量，定期地线检查，定期检查更换BKM电池等。

3.4 AI卡件整卡的点位故障，电源插头松动

日常生产中，若发生系统成片联锁或者报警，必然是卡件方面的故障居多。首先是看系统诊断，是否是卡件硬件故障，若不是则最常见的是回路供电缺失。一般情况，设计都是一块卡的回路供电是一起串起来，共用保险丝；其次，也发生过卡件FTA板供电电源插头松动。若电源没有问题，或者诊断发现是卡件硬件有故障，冗余的卡件则可支持在线直接更换。若是非冗余配置，则在工艺允许的情况下更换卡件，一般非冗余的卡件是局部联锁，更换卡件仅影响当前卡件所涉及到的联锁。

3.5 BKM报警

电池电量低，拆卡时候小心，不要碰触CPU，且不允许有强制点，因为BKM是单卡配置时，拆卡时会复位掉所有强制点。因为在更换电池时，首先要做的是办作业票且通知工艺，作业期间禁止打强制点，更换时也一定要小心，切忌误动CPU上的钥匙开关。

4 总结

综上所述，Safety Manager System系统在设计与维护的过程中要考虑全面，毕竟SIS系统关系着的不仅仅是安全生产，更和环境息息相关。以上是Safety Manager在己内酰胺生产的应用与维护心得，随着SIS技术的发展，选型设计与维护经验也在不断跟着规范变化，不能一叶而知秋，要不断地学习，不断地进步。